Политики Selinux для процесса, возможно ли?

Question

[ipdemon]

Друзья, помогите разобраться.
Есть сервер на Debian на котором от не привилегированного пользователя запускаются несколько (до 100 единиц) однотипных процессов в screen'ах. У запускаемого софта есть неприятная особенность — через некую уязвимость пользователь отдельного запущенного экземпляра процесса может получить доступ ко всем директориям и файлам доступным пользователю от имени которого он запущен.
Возможно ли с помощью selinux заблокировать запущеный процесс в директории из которой он запущен?
Chroot — не подойдёт, т.к. полностью перестанет функционировать система управления этими запущенными процессами.

Answer 1

[Андрей Буров]

Вам подойдет Grsecurity

Answer 2

[Александр Демченко]

Да, с помощью SELinux такое сделать можно. Исполняемому процессу назначается метка, далее пишется правило, которое разрешает ему обращаться только к ресурсам с определенными метками (контекстами). Далее обращения за пределы разрешенных директорий, несмотря на то, что файловых прав доступа хватает, блокируются ядром.

Попробуйте поискать в сети примеры такой изоляции. Начать можно, например, отсюда.

Comments

[Дмитрий]

Не подсажете по selinux, почему есть доступ с веб-сервера к файлу /etc/passwd, если указал /etc/ как виртуальный хост. Вроде как контекст у этого файла etc_t, а у веб-сервера httpd_t?